A carteira de criptomoedas BitGo corrigiu uma vulnerabilidade crítica que poderia ter exposto as chaves privadas de usuários de varejo e institucionais.
A equipe de pesquisa de criptografia Fireblocks identificou a falha e notificou a equipe BitGo em dezembro de 2022. A vulnerabilidade estava relacionada às carteiras BitGo Threshold Signature Scheme (TSS) e tinha o potencial de expor as chaves privadas de exchanges, bancos, empresas e usuários da plataforma.
A equipe da Fireblocks chamou a vulnerabilidade de BitGo Zero Proof Vulnerability, que permitiria que invasores em potencial extraíssem uma chave privada em menos de um minuto usando uma pequena quantidade de código JavaScript. A BitGo suspendeu o serviço vulnerável em 10 de dezembro e lançou um patch em fevereiro de 2023 que exigia atualizações do lado do cliente para a versão mais recente até 17 de março.
A equipe da Fireblocks descreveu como identificou o exploit usando uma conta BitGo gratuita na rede principal. Uma parte ausente das provas obrigatórias de conhecimento zero no protocolo de carteira ECDSA TSS da BitGo permitiu que a equipe expusesse a chave privada por meio de um ataque simples.
As plataformas de ativos de criptomoeda de nível empresarial padrão do setor fazem uso de computação multipartidária (MPC/TSS) ou tecnologia de assinatura múltipla para remover a possibilidade de um único ponto de ataque. Isso é feito distribuindo uma chave privada entre várias partes, para garantir controles de segurança se uma parte for comprometida.
A Fireblocks conseguiu provar que invasores internos ou externos podem obter acesso a uma chave privada completa por dois meios possíveis.
Um usuário do lado do cliente comprometido pode iniciar uma transação para adquirir uma parte da chave privada mantida no sistema da BitGo. A BitGo executaria o cálculo de assinatura antes de compartilhar informações que vazam o fragmento de chave da BitGo.
“O invasor pode então reconstruir a chave privada completa, carregá-la em uma carteira externa e retirar os fundos imediatamente ou posteriormente”.
O segundo cenário considerou um ataque se a BitGo fosse comprometida. Um invasor esperaria que um cliente iniciasse uma transação antes de responder com um valor malicioso. Isso é usado para assinar a transação com o fragmento de chave do cliente. O invasor pode usar a resposta para revelar o fragmento de chave do usuário, antes de combiná-lo com o fragmento de chave do BitGo para assumir o controle da carteira.
A Fireblocks observou que nenhum ataque foi realizado pelo vetor identificado, mas alertou os usuários a considerar a criação de novas carteiras e a movimentação de fundos das carteiras ECDSA TSS BitGo antes do patch
Hacks de carteiras têm sido comuns em todo o setor de criptomoedas nos últimos anos. Em agosto de 2022, mais de US$ 8 milhões foram drenados de mais de 7.000 carteiras Slope baseadas na Solana. O serviço de carteira de rede da Algorand, MyAlgo, também foi alvo de um hack de carteira que viu mais de US$ 9 milhões drenados de várias carteiras de alto perfil.
VEJA MAIS:
